Risikoakzeptanz und Risikoappetit im Unternehmen definieren

Der Risikoappetit legt fest, wie viel Risiko ein Unternehmen grundsätzlich zu tragen bereit ist. Risikoakzeptanzkriterien übersetzen diese grundsätzliche Haltung in konkrete Schwellenwerte für einzelne Risiken. Ohne diese Klärung entscheidet oft der Zufall oder die jeweilige Person, welches Risiko toleriert wird und welches nicht – mit entsprechend uneinheitlichen Ergebnissen. Dieser Beitrag zeigt, wie Sie Risikoappetit und Akzeptanzkriterien definieren und im Alltag konsequent anwenden.

Warum nicht jedes Risiko beseitigt werden muss

Ein verbreitetes Missverständnis im Risikomanagement lautet: Je weniger Risiko, desto besser. In der Praxis kostet jede Massnahme Zeit und Geld, und manche Risiken sind so gering, dass die Behandlung mehr kostet als ein möglicher Schaden. ISO 9001 verlangt deshalb keine Risikoeliminierung um jeden Preis, sondern eine bewusste, dokumentierte Entscheidung, welche Risiken behandelt und welche akzeptiert werden.

Genau hier setzen zwei eng verwandte Konzepte an: der Risikoappetit als grundsätzliche Haltung und die Risikoakzeptanzkriterien als konkrete Entscheidungsregel. Ein Beispiel aus der Praxis: Ein kleiner IT-Dienstleister akzeptiert bewusst das Risiko gelegentlicher kurzer Serverausfälle bei einem günstigen Hosting-Anbieter, weil eine redundante Lösung die Kosten deutlich übersteigen würde – diese Entscheidung wird dokumentiert, statt stillschweigend hingenommen zu werden.

Risikoappetit: die grundsätzliche Haltung des Unternehmens

Der Risikoappetit beschreibt, wie viel Risiko ein Unternehmen insgesamt bereit ist einzugehen, um seine Ziele zu erreichen. Ein Startup im Wachstum akzeptiert typischerweise mehr operatives Risiko als ein etabliertes Unternehmen in einem regulierten Markt. Beides kann richtig sein – entscheidend ist, dass die Geschäftsleitung diese Haltung bewusst festlegt, statt sie implizit durch Einzelentscheidungen entstehen zu lassen.

Der Risikoappetit wird meist qualitativ formuliert, zum Beispiel: "Wir akzeptieren moderate finanzielle Risiken zugunsten von Wachstum, tolerieren aber keine Risiken für die Sicherheit unserer Mitarbeitenden oder Kund:innen." Eine solche Aussage gibt allen Entscheidungsträger:innen im Unternehmen eine Richtschnur. Ohne eine solche formulierte Haltung entscheidet in der Praxis oft die einzelne Person im Tagesgeschäft nach Bauchgefühl – mit der Folge, dass ähnliche Risiken je nach Abteilung unterschiedlich behandelt werden. Die Geschäftsleitung sollte den Risikoappetit deshalb mindestens einmal jährlich im Rahmen der Managementbewertung bestätigen oder anpassen, insbesondere wenn sich die strategische Ausrichtung des Unternehmens ändert.

Risikoakzeptanzkriterien: der Appetit in konkreten Zahlen

Während der Risikoappetit eine grundsätzliche Haltung beschreibt, übersetzen Risikoakzeptanzkriterien diese Haltung in konkrete, anwendbare Regeln. Typische Formen:

• Schwellenwerte in der Risikomatrix: etwa "Risiken im grünen Bereich werden akzeptiert, Risiken im gelben und roten Bereich erfordern Massnahmen."
• Finanzielle Grenzwerte: etwa "Finanzielle Einzelrisiken unter CHF 5'000 werden ohne weitere Prüfung akzeptiert."
• Kategorische Ausschlüsse: etwa "Risiken für die Arbeitssicherheit werden grundsätzlich nie akzeptiert, unabhängig von der bewerteten Höhe."

Solche Kriterien nehmen dem Team im Alltag viele Einzelfalldiskussionen ab: Liegt ein Risiko klar unterhalb der definierten Schwelle, ist die Entscheidung bereits getroffen. Wichtig ist, diese Schwellenwerte regelmässig auf ihre Aktualität zu prüfen, etwa wenn sich die finanzielle Lage des Unternehmens deutlich ändert – ein vor Jahren festgelegter Frankenbetrag kann sonst schleichend zu grosszügig oder zu restriktiv werden.

Risikoakzeptanzkriterien festlegen: Schritt für Schritt

1. Risikoappetit der Geschäftsleitung in einer kurzen, qualitativen Aussage festhalten.
2. Kategorien definieren, in denen unterschiedliche Massstäbe gelten (z. B. Sicherheit, Finanzen, Reputation).
3. Für jede Kategorie konkrete, messbare Schwellenwerte festlegen.
4. Kriterien mit der Risikomatrix verknüpfen, sodass jede Bewertung automatisch zu einer Handlungsempfehlung führt.
5. Kriterien regelmässig überprüfen, besonders nach Vorfällen oder wesentlichen Veränderungen im Unternehmen.

Ohne dokumentierte Kriterien entscheidet am Ende oft eine einzelne Person nach Bauchgefühl – mit dem Risiko, dass ähnliche Situationen zu unterschiedlichen Zeitpunkten unterschiedlich behandelt werden.

Typische Fehler bei der Risikoakzeptanz

• Akzeptanz ohne Dokumentation: Ein akzeptiertes Risiko sollte im Risikoregister vermerkt sein, inklusive Begründung – sonst wirkt die Entscheidung im Audit willkürlich.
• Kriterien nur für neue Risiken: Werden bestehende, längst akzeptierte Risiken nie neu bewertet, können sich Rahmenbedingungen unbemerkt ändern.
• Risikoappetit nie kommuniziert: Wenn nur die Geschäftsleitung den Risikoappetit kennt, treffen andere Ebenen im Unternehmen inkonsistente Entscheidungen.
• Sicherheitsrisiken wie finanzielle Risiken behandelt: Nicht jede Risikoart verdient dieselben Schwellenwerte – Personenschutz verlangt strengere Massstäbe als ein kleiner finanzieller Verlust. Auditor:innen erkennen fehlende Begründungen im Zertifizierungsaudit erfahrungsgemäss schnell, wenn ein hoch bewertetes Risiko ohne erkennbaren Grund als akzeptiert markiert ist.

Risikoappetit je Risikokategorie unterscheiden

Der Risikoappetit muss nicht für alle Risikoarten gleich hoch sein. Viele Organisationen unterscheiden bewusst zwischen Kategorien:

• Sehr geringer Appetit: Arbeitssicherheit, Rechtskonformität, Datenschutz – hier wird praktisch nichts toleriert.
• Moderater Appetit: operative Prozessrisiken, bei denen ein gewisses Mass an Störungen in Kauf genommen wird, um Effizienz zu erhalten.
• Höherer Appetit: strategische Risiken im Zusammenhang mit neuen Märkten oder Produkten, bei denen Wachstumschancen höher gewichtet werden als Unsicherheit.

Diese Differenzierung verhindert, dass eine pauschale "Wir sind vorsichtig"-Haltung wichtige Wachstumschancen unnötig blockiert, während sicherheitsrelevante Bereiche gleichzeitig zu lasch behandelt werden. In der Praxis lohnt es sich, diese drei Kategorien schriftlich im Risikoregister als Spalte zu hinterlegen, damit bei jeder neuen Bewertung sofort erkennbar ist, welcher Massstab für das jeweilige Risiko gilt – statt die Einordnung bei jeder Sitzung neu zu diskutieren.

Wer den Risikoappetit festlegt und wann er neu zu hinterfragen ist

Die Verantwortung für den Risikoappetit liegt bei der obersten Leitung, nicht bei einzelnen Fachbereichen. Das bedeutet nicht, dass die Geschäftsleitung jede Einzelentscheidung selbst trifft – sie legt aber den Rahmen fest, innerhalb dessen Fachbereiche und Prozessverantwortliche eigenständig entscheiden dürfen. Ohne diesen Rahmen entstehen entweder übervorsichtige Bereiche, die jede Chance liegen lassen, oder übermutige Bereiche, die Risiken eingehen, welche die Geschäftsleitung so nie akzeptiert hätte.

Risikoakzeptanz regelmässig hinterfragen:

Ein akzeptiertes Risiko ist keine endgültige Entscheidung. Verändert sich der Kontext der Organisation – etwa durch neue Kund:innen, neue gesetzliche Vorgaben oder veränderte Marktbedingungen – kann ein früher akzeptiertes Risiko plötzlich unter die Akzeptanzschwelle fallen und muss neu bewertet werden. Verankern Sie deshalb eine regelmässige Überprüfung akzeptierter Risiken fest im Turnus der Managementbewertung, statt sie als einmal erledigt zu betrachten.

Beispiel: Risikoappetit in der Praxis formuliert

Ein mittelständisches Dienstleistungsunternehmen formuliert seinen Risikoappetit so: "Wir sind bereit, moderate finanzielle Risiken einzugehen, um neue Marktsegmente zu erschliessen, solange der maximale Verlust im Einzelfall 5 Prozent des Jahresgewinns nicht übersteigt. Risiken für die Datensicherheit unserer Kund:innen akzeptieren wir grundsätzlich nicht." Aus dieser einen Aussage lassen sich konkrete Akzeptanzkriterien ableiten: ein Frankenbetrag als Obergrenze für finanzielle Risiken und ein kategorischer Ausschluss für Datensicherheitsrisiken.

Dieses Beispiel zeigt, wie aus einer kurzen, verständlichen Aussage der Geschäftsleitung ein praktisch anwendbares Entscheidungsinstrument für den gesamten Betrieb wird. Mitarbeitende im operativen Geschäft können anhand solcher Zahlen selbst einschätzen, ob eine Entscheidung noch innerhalb des akzeptierten Rahmens liegt oder eskaliert werden muss – ohne bei jedem Einzelfall die Geschäftsleitung konsultieren zu müssen.

Risikoappetit in besonderen Situationen

Versicherungen: Ein häufig übersehener Aspekt der Risikobehandlung: Nicht jedes Risiko muss selbst getragen oder vermieden werden – ein Teil lässt sich gegen Prämie an eine Versicherung übertragen. Bevor Sie ein Risiko als "akzeptiert" einstufen, lohnt sich die Prüfung, ob eine bestehende oder zusätzliche Versicherungsdeckung das Risiko wirtschaftlich sinnvoller abdeckt als eine interne Massnahme. Dokumentieren Sie diese Überlegung im Risikoregister, auch wenn Sie sich am Ende gegen eine Versicherung entscheiden – das macht die Entscheidung im Audit nachvollziehbar.

Wachstum und Expansion: Bei der Erschliessung neuer Märkte oder dem Angebot neuer Dienstleistungen lohnt es sich, den Risikoappetit vorübergehend explizit anzupassen und schriftlich festzuhalten, statt die bestehenden Kriterien unverändert weiterzuführen. Ein höherer Appetit für eine befristete Wachstumsphase, klar terminiert und regelmässig überprüft, verhindert, dass die Organisation entweder zu zögerlich agiert oder unbemerkt in ein dauerhaft höheres Risikoniveau abgleitet.

Kommunikation gegenüber Kund:innen: Manche Kund:innen oder Vertragspartner verlangen Einblick in Ihre Risikoakzeptanzkriterien, insbesondere bei sicherheitsrelevanten Lieferverträgen. Halten Sie deshalb die wichtigsten Grundsätze Ihres Risikoappetits in einer knappen, präsentierbaren Form bereit – ohne interne Details preiszugeben, aber mit ausreichender Substanz, um Vertrauen in Ihr Risikomanagement zu schaffen. Ein einseitiges Dokument mit den wichtigsten Kategorien und Schwellenwerten genügt dafür meist vollkommen.

Unternehmenskultur: Der schriftlich festgehaltene Risikoappetit nutzt wenig, wenn die gelebte Unternehmenskultur ihm widerspricht. Wird intern jede riskante Entscheidung nachträglich kritisiert, entwickeln Mitarbeitende eine deutlich vorsichtigere Haltung als offiziell gewünscht – unabhängig davon, was auf dem Papier steht. Eine glaubwürdige Risikokultur entsteht erst, wenn Fehlentscheidungen innerhalb des definierten Rahmens nicht sanktioniert, sondern als Teil eines bewussten, akzeptierten Risikos behandelt werden.

Nachfolgeregelungen: Bei einem Generationen- oder Führungswechsel verändert sich der Risikoappetit einer Organisation häufig, ohne dass dies explizit besprochen wird. Eine neue Geschäftsleitung bringt oft eine andere persönliche Risikoneigung mit als die vorherige. Nutzen Sie einen Wechsel an der Spitze bewusst als Anlass, den Risikoappetit gemeinsam neu zu formulieren und schriftlich festzuhalten, statt ihn stillschweigend durch Einzelentscheidungen neu entstehen zu lassen.

Lieferkette: Auch gegenüber Lieferanten lohnt sich eine bewusste Haltung zum Risikoappetit: Akzeptieren Sie bewusst einen einzigen strategischen Lieferanten für eine kritische Komponente, um Kosten zu sparen, oder investieren Sie in eine zweite Bezugsquelle, um das Ausfallrisiko zu reduzieren? Beide Antworten können richtig sein – entscheidend ist, dass die Wahl bewusst und nicht durch Zufall getroffen wird.

Häufig gestellte Fragen zu Risikoakzeptanz und Risikoappetit

Was ist der Unterschied zwischen Risikoappetit und Risikoakzeptanzkriterien?

Der Risikoappetit beschreibt die grundsätzliche Haltung eines Unternehmens, wie viel Risiko es insgesamt bereit ist einzugehen, um seine Ziele zu erreichen. Risikoakzeptanzkriterien übersetzen diese grundsätzliche Haltung in konkrete, anwendbare Schwellenwerte für einzelne Risiken. Ein Unternehmen kann seinen Risikoappetit etwa qualitativ formulieren, etwa dass es moderate finanzielle Risiken zugunsten von Wachstum akzeptiert, aber keine Risiken für die Sicherheit von Mitarbeitenden toleriert. Aus einer solchen Aussage lassen sich anschliessend konkrete, messbare Kriterien ableiten.

Wer legt den Risikoappetit eines Unternehmens fest?

Die Verantwortung liegt bei der obersten Leitung, nicht bei einzelnen Fachbereichen. Das bedeutet nicht, dass die Geschäftsleitung jede Einzelentscheidung selbst trifft – sie legt aber den Rahmen fest, innerhalb dessen Fachbereiche und Prozessverantwortliche eigenständig entscheiden dürfen. Ohne diesen Rahmen entstehen entweder übervorsichtige Bereiche, die jede Chance liegen lassen, oder übermutige Bereiche, die Risiken eingehen, welche die Geschäftsleitung so nie akzeptiert hätte. Der Risikoappetit sollte deshalb mindestens einmal jährlich im Rahmen der Managementbewertung bestätigt oder angepasst werden.

Muss der Risikoappetit für alle Risikoarten gleich hoch sein?

Nein, viele Organisationen unterscheiden bewusst zwischen Risikokategorien. Ein Unternehmen kann beispielsweise moderate finanzielle Risiken zugunsten von Wachstum akzeptieren, während es bei Risiken für die Datensicherheit von Kund:innen oder die Sicherheit von Mitarbeitenden praktisch keine Toleranz zeigt. Diese Differenzierung ist sinnvoll, weil unterschiedliche Risikoarten unterschiedliche Konsequenzen haben. Wichtig ist, dass die unterschiedliche Behandlung bewusst festgelegt und nicht dem Zufall überlassen wird.

Was passiert, wenn der Risikoappetit im Unternehmen nicht kommuniziert wird?

Wenn nur die Geschäftsleitung den Risikoappetit kennt, treffen andere Ebenen im Unternehmen inkonsistente Entscheidungen, weil ihnen die gemeinsame Richtschnur fehlt. In der Praxis entscheidet dann häufig die einzelne Person im Tagesgeschäft nach Bauchgefühl, mit der Folge, dass ähnliche Risiken je nach Abteilung unterschiedlich behandelt werden. Eine kurze, klar formulierte Aussage der Geschäftsleitung, festgehalten in der Managementbewertung, erleichtert später unzählige Einzelentscheidungen im Tagesgeschäft. Diese Kommunikation ist deshalb ebenso wichtig wie die Festlegung selbst.

Muss der Risikoappetit bei einem Führungswechsel überprüft werden?

Ja, bei einem Generationen- oder Führungswechsel verändert sich der Risikoappetit einer Organisation häufig, ohne dass dies explizit besprochen wird, da eine neue Geschäftsleitung oft eine andere persönliche Risikoneigung mitbringt. Ein Wechsel an der Spitze bietet sich deshalb bewusst als Anlass an, den Risikoappetit gemeinsam neu zu formulieren und schriftlich festzuhalten. Wird dieser Schritt versäumt, entsteht der neue Risikoappetit stillschweigend durch Einzelentscheidungen, was zu Inkonsistenzen führen kann. Dasselbe gilt bei wesentlichen strategischen Veränderungen wie einer neuen Wachstumsphase oder dem Eintritt in neue Märkte.

Fazit

Risikoappetit und Risikoakzeptanzkriterien geben einer Organisation die Sprache, um Entscheidungen über den Umgang mit Risiken nachvollziehbar statt willkürlich zu treffen. Ohne dokumentierte Kriterien fällt jede Akzeptanzentscheidung faktisch im Einzelfall, oft von unterschiedlichen Personen mit unterschiedlichem Massstab – das erschwert nicht nur die Konsistenz, sondern auch die Nachvollziehbarkeit im Audit. Entscheidend ist, dass der Risikoappetit von der Geschäftsleitung getragen und je nach Risikokategorie differenziert wird, da etwa finanzielle und sicherheitsrelevante Risiken selten dieselbe Toleranzschwelle verdienen. Wer die einmal festgelegten Kriterien regelmässig überprüft und bei veränderten Rahmenbedingungen anpasst, verhindert, dass akzeptierte Risiken unbemerkt zu einer echten Bedrohung heranwachsen.

Akzeptierte und behandelte Risiken gehören gemeinsam in das Risikoregister und Risikoeigner: Risiken systematisch erfassen. Einen Überblick über das gesamte Thema Risikomanagement nach ISO 9001 finden Sie im Beitrag Risikobasiertes Denken nach ISO 9001: Risiken und Chancen erkennen.